Propust u Telegramu za desktop: jedan klik do predaje naloga
Telegram aplikacija za računare, starija od verzije 7.2.9, ima propust sa kojim je dovoljan samo jedan klik da se napadaču preda korisnički nalog. Opisao ga je istraživač pod imenom BeakSec, a nosi oznaku CVE-2026-107181 i visoku ocenu ozbiljnosti, 8,6. Suština je u načinu na koji aplikacija prosleđuje linkove kroz svoje module: posebno prilagođen link može da se provuče kao dodatna komanda i natera Telegram da pošalje određeni fajl sa diska, bez pitanja i potvrde korisnika. Među njima može da bude i onaj koji čuva podatke o prijavi na Telegram nalog. Ko ih preuzme, može da preuzme prijavljenu sesiju i sam korisnički nalog. Propust je potvrđen na Windows platformi, ali traži nekoliko povezanih preduslova da se ispolji. Zloupotreba u praksi za sada nije zabeležena. Telegram je propust zatvorio u verziji 7.2.9 od 17. septembra, ali u spisku izmena nema reči o ovom propustu koji je prijavljen krajem juna preko ZDI-ja. BeakSec je detalje objavio tek početkom oktobra, pošto je zakrpa već izašla.
Telegram se obično doživljava kao još jedna aplikacija za četovanje, a u suštini ima pristup računaru i fajlovima kao i svaki drugi program. Propust u prvom koraku omogućava preuzimanje korisničke prijave, a u drugom i korisničkog naloga. Napadač ne mora da zna vašu lozinku niti da ima drugi faktor autentifikacije, jer ulazi kroz već otvorena vrata. Dobra vest je da zakrpa postoji i da napad nije bio trivijalan. Loša je to što je proizvođač prećutao hitnost ispravki koje korisnici ionako ne smatraju obaveznim održavanjem, pa broj i dalje ranjivih sigurno nije mali. Jedno je sigurno — ko se oslanja na automatsko ažuriranje prolazi bolje od onih koji aplikaciju nadograđuju ručno.
- Ažuriraj Telegram za računar na verziju 7.2.9 ili noviju
- Postavi lokalni kod (passcode) u podešavanjima Telegrama — ne zatvara propust, ali ukradenu sesiju čini neupotrebljivom
- U podešavanjima privatnosti ograniči ko sme da te dodaje u grupe
- Isključi automatsko preuzimanje fajlova iz grupa i kanala
- U podešavanjima pod Aktivne sesije izbaci prijave koje ne prepoznaješ